國之重器出版工程 5G網絡安全實踐

黃昭文
高級工程師、博士，畢業於華南理工大學，中國移動廣東公司業務與系統支撐工程師，主要從事移動通信網絡運行維護、端到端質量優化、網絡安全管理、網管系統開發和新技術的研究應用等工作，先後支撐2G/3G/4G移動通信網絡的建設運營，移動數據網、移動互聯網業務和系統的集中管理維護，自主研發2G/3G/4G/5G網絡信令與協議分析系統，為通信網絡穩定運行、質量優化、智能管道及大數據技術應用提供有力支撐。

第1章5G網絡安全風險與應對措施001
1．1 5G網絡技術基礎002
1．2 5G網絡安全形勢004
1．3 5G網絡安全威脅004
1．3．1網絡安全威脅分類005
1．3．2安全威脅的主要來源006
1．3．3通信網絡的安全風險評估007
1．4 5G網絡安全技術的發展009
1．4．1 5G網絡的安全需求009
1．4．2 5G網絡的總體安全原則010
1．4．3 5G網絡的認證能力要求011
1．4．4 5G網絡的授權能力要求011
1．4．5 5G網絡的身份管理011
1．4．6 5G網絡監管012
1．4．7欺詐保護012
1．4．8 5G安全功能的資源效率013
1．4．9數據安全和隱私013
1．4．10 5G系統的安全功能013
1．4．11 5G主要場景的網絡安全014

第2章5G網絡安全體系015
2．1 5G網絡架構概述016
2．1．1 5G網絡協議016
2．1．2 5G網絡功能025
2．1．3 5G網絡身份標識039
2．1．4 5G的用戶身份保護方案042
2．2 5G網絡安全關鍵技術044
2．2．1 5G安全架構與安全域044
2．2．2 5G網絡的主要安全功能網元045
2．2．3 5G網絡的安全功能特性048
2．2．4 5G網絡中的安全上下文049
2．2．5 5G的密鑰體系050
2．3 5G網絡安全算法053
2．3．1安全算法工作機制053
2．3．2機密性算法055
2．3．3完整性算法056
2．3 ．4 SNOW 3G算法057
2．3．5 AES算法057
2．3．6 ZUC算法058
2．4 5G網絡安全認證過程058
2．4．1主認證和密鑰協商過程060
2．4．2 EAP -AKA(認證過程062
2．4．3 5G AKA認證過程067
2．5 SA模式下NAS層安全機制073
2．5．1 NAS安全機制的目標073
2．5．2 NAS完整性機制073
2． 5．3 NAS機密性機制074
2．5．4初始NAS消息的保護074
2．5．5多個NAS連接的安全性077
2．5．6關於5G NAS安全上下文的處理078
2．5．7密鑰集標識符ngKSI 078
2．5．8 5G NAS安全上下文的維護079
2．5．9建立NAS消息的安全模式081
2．5．10 NAS Count計數器的管理081
2．5．11 NAS信令消息的完整性保護082
2．5．12 NAS信令消息的機密性保護085
2．6 NSA模式下的NAS消息安全保護機制086
2．6．1 EPS安全上下文的處理086
2．6．2密鑰集標識符eKSI 087
2．6．3 EPS安全上下文的維護087
2． 6．4建立NAS消息的安全模式088
2．6．5 NAS COUNT和NAS序列號的處理089
2．6．6重放保護090
2．6．7基於NAS COUNT的完整性保護和驗證090
2． 6．8 NAS信令消息的完整性保護091
2．6．9 NAS信令消息的加密094
2．7接入層的RRC安全機制095
2．7．1 RRC層的安全保護機制096
2．7 ．2 RRC完整性保護機制096
2．7．3 RRC機密性機制096
2．8接入層PDCP的安全保護機制096
2．8．1 PDCP加密和解密098
2．8．2 PDCP完整性保護和驗證098
2．9用戶面的安全機制099
2．9．1用戶面的安全保護策略099
2．9．2用戶面的安全激活實施步驟102
2．9．3接入層的用戶面保密機制102
2．9．4接入層的用戶面完整性機制102
2．9．5非接入層的用戶面安全保護103
2．10狀態轉換安全機制104
2．10．1從RM-DEREGISTERED到RM-REGISTERED狀態的
轉換104
2．10．2從RM-REGISTERED到RM-DEREGISTERED狀態的
轉換106
2．10．3從CM-IDLE到CM-CONNECTED狀態的轉換107
2．10．4從CM-CONNECTED到CM-IDLE狀態的轉換107
2．10．5從RRC_INACTIVE到RRC_CONNECTED狀態的轉換108
2．10．6從RRC_CONNECTED到RRC_INACTIVE狀態的轉換110
2．11雙連接安全機制111
2．11．1建立安全上下文111
2．11．2對於用戶面的完整性保護112
2．11．3對於用戶面的機密性保護112
2．12基於服務的安全鑑權接口113

第3章5G網絡採用的基礎安全技術115
3．1 EAP 116
3．2 AKA 119
3．3 TLS 120
3．4 EAP-AKA 121
3．5 EAP-AKA( 122
3．6 EAP-TLS 124
3．7 OAuth 125
3．8 IKE 127
3．9 IPSec 129
3．10 JWE 130
3．11 HTTP摘要AKA 130
3．12 NDS/IP 131
3．13通用安全協議用例132
3 ．13．1 IPSec的部署與測試132
3．13．2 TLS/HTTPs交互過程140

第4章IT網絡安全防護145
4．1 IT基礎設施安全工作內容146
4．2 5G網絡中的IT設施安全防護147
4．3 IT主機安全加固步驟147
4．4常用IT網絡安全工具152
4．4．1 tcpdump 152
4．4．2 wireshark/tshark 153
4．4．3 nmap 153
4．4．4 BurpSuite 156

第5章5G SA模式下接入的安全過程159
5．1 UE接入SA網絡前的準備161
5．2建立SA模式RRC連接162
5．3 AMF向UE獲取身份信息166
5．4 SA模式認證和密鑰協商過程172
5．5 AMF和UE之間鑑權消息交互174
5．6 SA模式下NAS安全模式控制機制176
5．7 AMF與UE之間的安全模式控制消息交互181
5．8建立UE的網絡上下文184
5．9建立PDU會話192
5．10 SA模式下的安全增強197

第6章5G NSA模式下接入的安全過程199
6．1 UE接入NSA網絡前的準備201
6．2建立NSA模式RRC連接202
6．3 NSA模式的認證和密鑰協商過程207
6．4 MME與UE之間的鑑權信息交互208
6．5 NSA模式下NAS安全模式控制機制210
6．6 MME與UE之間的安全模式控制信息交互211
6．7建立UE的網絡上下文212
6．8 UE加入5G NR節點214

第7章5G接入網的網絡安全217
7．1 5G接入網的網絡安全風險218
7．2 5G接入網的網絡安全防護219

第8章5G核心網的網絡安全233
8．1 5G核心網的網絡安全風險234
8．2 5G核心網的網絡安全防護235
8．2．1對5G核心網體系結構的安全要求236
8．2．2對端到端核心網互聯的安全要求237

第9章5G承載網網絡安全239
9．1 5G承載網的網絡安全風險240
9．2 5G承載網的網絡安全防護241

第10章5G網絡雲安全243
10．1 5G網絡雲平台的安全風險244
10．2網絡功能虛擬化的安全需求245
10．3網絡雲平台基礎設施的安全分析246
10．4網絡雲平台應用程序安全分析248
10．5 5G網絡雲平台的安全防護250
10．6 5G和人工智能安全風險及應對措施251

第11章5G終端安全253
11．1 5G終端的網絡安全風險254
11．2面向終端消息的網絡安全防護255

第12章物聯網業務安全257
12．1物聯網安全風險分析258
12．2物聯網通信機制的安全優化259
12．3物聯網應用開發的安全防護260
12．4適用於物聯網的GBA安全認證261
12．4．1物聯網設備的鑑權挑戰261
12．4．2 GBA的體系架構262
12．4．3 GBA的業務流程264

第13章網絡切片業務安全269
13．1網絡切片的工作原理270
13．2網絡切片的管理流程271
13．2．1網絡切片的操作過程271
13．2．2網絡切片的描述信息272
13．2．3切片管理服務的認證與授權273
13．3網絡切片的安全風險及應對措施273
13．4接入過程中的網絡切片特定認證和授權275

第14章邊緣計算安全279
14．1邊緣計算的工作原理280
14．2邊緣計算的安全防護281

第15章5G網絡安全即服務283
15 ．1安全即服務的業務模型284
15．2安全即服務的產品形態285
15．3 5G網絡DPI系統287
15．4 5G網絡安全能力開放的關鍵技術分析288

第16章支持虛擬化的嵌入式網絡安全NFV 291
16．1虛擬化環境下的網絡安全技術和解決方案292
16．2嵌入式網絡安全NFV的功能與工作流程293

第17章5G終端安全檢測系統295
17．1手機終端的安全風險296
17．2手機終端安全性自動化測試環境296
17．3無線接入環境298

第18章面向5G網絡的安全防護系統301
18．1面向5G網絡的安全支撐的現狀與需求302
18．2 5G端到端安全保障體系303
18．2．1安全接入層304
18．2．2安全能力層310
18．2．3安全應用層311
18．3 5G端到端安全保障體系的應用312

附錄Ⅰ基於SBI的5GC網絡安全接口315
附錄Ⅱ EAP支持的類型325
參考文獻329
縮略語331